從核電發展的歷史來看，安全問題一直是揮之難去的陰霾。每一次重大核電事故都會在世界范圍內引發對核電事業本身的廣泛爭議；但另一方面，不可忽視的是，每一次事故又都會成為全球核電安全設計飛躍發展的契機，促使人類不斷向著“更安全的核電”前行。

當前，核電廠安全設計的通用標準規定，必須要考慮“最大假想地震”“可能最大洪水”“可能最大降水”等自然災害，這個要求并不是一開始發展核電就有的，而是20世紀60年代中期美國人首先關注到的。后來，國際上逐漸形成了相關設計要求和確定這些自然災害水平的方法。早期確定這些“最大假想”“可能最大”時，通常使用最大歷史記錄法，后期又發展了一些其他方法。例如在我國和美國，在確定“最大假想地震”時，還會采取地質構造法。所謂地質構造法，即在核電廠址一定范圍內（通常為150公里或更大），尋找可能的發震構造，如能動斷層，并評估其一旦發生地震對核電廠廠址的影響。核泄漏事故如此后果慘重，以至于核電廠的安全設計必須有足夠安全程度。

1、核電廠的三項基本安全功能

我們周圍的物質是由各種元素所構成，而元素的原子核內所包含的質子數決定了它屬于哪一種元素。同一種元素原子核內的質子數相同，但中子數可能不同，我們將質子數相同而中子數不同的元素稱之為同位素。同位素中有些是非常穩定的，但有些是不穩定的，會自發地衰變并放出射線。我們將會自發衰變并放出射線的同位素稱為放射性同位素，放射性物質由放射性同位素所構成。放射性同位素衰變所放出的射線被人體或生物體吸收后，則會形成所謂的輻射照射問題。

我們無時無刻不在輻射照射當中，這些輻射來自宇宙射線和周圍物質中所含的放射性同位素衰變所放出的射線。由于大氣層的屏蔽作用，以及周圍物質中放射性同位素的含量極低，這種輻射照射通常不會產生大的問題。周圍物質中放射性同位素含量極低的原因很好理解，因為我們周圍的物質大多產生于宇宙誕生的初期，即大爆炸的早期階段?，F代天文學認為，目前宇宙的壽命約為120億～140億年，在如此漫長的時間內，不穩定的同位素都衰變得差不多了。

目前，人類對核能的和平利用主要是對裂變能的利用，這種裂變能主要來自于元素鈾235和钚239在中子轟擊下的裂變。鈾235和钚239在中子轟擊下裂變所產生的裂變碎片，專業術語叫裂變產物，包含了大量的放射性同位素，這些放射性物質一旦進入環境，則可能對人類或生物構成輻射照射。為了不使這些裂變產生的放射性物質進入環境，就要用各種屏障將這些放射性物質包容起來?，F代壓水堆和沸水堆核電廠通常具備燃料包殼、反應堆冷卻劑系統壓力邊界和安全殼三道包容屏障。

一個一百萬千瓦電功率的壓水堆核電廠，其反應堆堆芯的熱功率大約三百萬千瓦，而反應堆堆芯的直徑大約3米左右，高4米左右。如此大的功率集中在如此小的堆芯，在反應堆堆芯正常排熱能力喪失的時候，瞬間就可以導致堆芯的熔毀。所以在發生喪失反應堆堆芯正常排熱能力的情況下，為保證安全，必須迅速地實現反應堆的停堆。但反應堆停堆后，裂變產物的衰變仍然會發生，其放出的射線被反應堆結構材料和冷卻劑等吸收后，轉化為熱量，即專業術語所稱的“衰變熱”。衰變熱大致可以認為按照指數曲線衰減，在停堆后的不到1秒時間內衰減到堆芯熱功率的6%左右，在不到1小時的時間內衰減到堆芯熱功率的1%左右。衰變熱不能被排出的話，其積累最終仍然能夠使燃料和燃料包殼熔化（即嚴重事故）、進而可能導致反應堆壓力容器乃至安全殼的破壞，使放射性物質進入環境。

所以為了保證核安全，我們必須高度可靠地保證反應堆停堆、衰變熱的排出和放射性包容功能，在專業術語中，這稱為三項基本安全功能。實際上，目前壓水堆和沸水堆核電廠的衰變熱排出可以說是最為關鍵的安全功能，核電廠的大部分安全系統都是圍繞實現這個功能具體設計的。衰變熱排出的可靠性，在很大程度上決定了壓水堆和沸水堆核電廠的安全水平。在新一代壓水堆和沸水堆核電廠的安全改進方面，衰變熱排出可靠性的改進也是重點。

2、高標準嚴要求的安全設計

核電廠的設計就是圍繞高度可靠地保證三項基本安全功能的實現展開的，這不僅要求核電廠在正常運行和啟停堆時保證安全，而且要求在各種極端的內外部事件情況下也能保證三項基本安全功能的執行。核電廠設計上所考慮的內部事件主要為設備故障所導致，如管道的破裂、泵的卡軸、閥門的誤動作、電器故障等，以及由這些設備故障所導致的水淹、噴射、濕度、壓力、輻射、火災等效應，這些故障可考慮低至發生概率10-6每堆年的故障。外部事件主要考慮外部人為事件和自然災害。外部人為事件主要考慮核電廠周圍可能存在的工業、軍事等設施，以及運輸活動，包括危險化學品運輸、飛行器等可能對核電廠產生的危害。對于外部人為事件而言，如果不能證明其對核電廠安全產生影響的概率低于10-7每堆年，則核電廠設計上就必須考慮對其設防。而自然災害，則要考慮“以人類已有的科學技術和認知水平所能確認的最大自然災害”，其發生頻率大約都在萬年一遇的水平。由于所考慮的外部自然災害都是極端的自然災害，受科學技術和認知水平的限制，有時會存在一定的不確定性。

核電廠執行三項基本安全功能的構筑物、系統和設備的設計不但要考慮上述的內外部事件，為了保證系統功能的可靠性，還對其提出了多重性、多樣性、獨立性等要求。如核電廠的供電不僅僅依靠外部電源，每臺核電機組還設置有至少兩臺應急柴油發電機，以及直流蓄電池電源。為保證設備的可靠性和功能，對其設計、制造、安裝、試驗、檢查、維修等活動要執行嚴格的質量保證要求，還要開展“環境鑒定”“抗震鑒定”。

核電廠設計上所考慮的內部事件和外部事件在專業術語上又被稱為“設計基準事故”和“設計基準”。實際的核電廠無法使用試驗或調試的方式來驗證核電廠在設計基準事故工況下的安全性是否可接受，必須通過“事故分析”來證明。為了保證事故分析結果的保守性，在分析過程中還要采取許多的保守假設。例如，要假設核電廠的初始狀態處于對后果最不利的條件和測量偏差，要假設喪失了廠外電源，要假設最大價值的一束控制棒卡在反應堆外，要假設在安全系統中發生了單一隨機故障等。對事故分析所使用的計算機程序也要經過嚴格的驗證。

1979年三哩島核電廠事故發生后，人們開展了新一輪的大量核安全研究。研究工作的重點包括改進人機接口和操縱員培訓、改進核電廠規程（包括維修、試驗、檢查和運行、事故處理規程等）、改進應急響應等，當然核電廠超過設計基準，直至嚴重事故的現象和機理是研究重點之一。

3、核電廠設計的難題

日本福島第一核電廠位于日本福島縣雙葉郡的大熊町和雙葉町，在日本東海岸的面向太平洋側，共建有6臺沸水堆核電機組。沸水堆核電廠最早由美國通用電氣公司開發，是目前世界上機組數量居第二位的核電機型。沸水堆核電機型和壓水堆核電機型各有優缺點，從安全水平來說，美國在20世紀80年代到90年代開展了電廠安全評價計劃和外部事件下的電廠安全評價計劃，針對美國的35座沸水堆核電機組和73座壓水堆核電機組進行評價。結果表明，沸水堆核電廠平均的反應堆堆芯熔化頻率比壓水堆核電廠約低一個數量級，但在發生嚴重事故的條件下，沸水堆安全殼的失效概率比壓水堆核電廠高。沸水堆核電廠的應急堆芯冷卻系統更加多樣，但安全殼內部的自由容積大大低于壓水堆核電廠，這一結果主要是由上述特性所決定的。但是，對于一個具體核電廠的設計來說，安全水平還取決于在設計階段是否正確地識別和確定了內外部事件所造成的影響，以及針對這些內外部事件所采取的設防措施是否充分。舉個例子，當你設計一輛汽車時，你首先要確定這輛汽車未來是要在市內行駛還是做越野，你拿一輛為市內行駛設計的汽車去越野，出問題的可能性肯定會很大。

在福島核電廠開始建設時，海嘯高度使用了當時能夠得到的最大記錄3.1米，這個高度的海嘯記錄產生于1960年智利發生的世界上已知的最大地震。對于日本東海岸外的日本海溝，沒有有關其導致海嘯的歷史數據。盡管日本的核安全監管當局沒有對地震和海嘯的再評價要求，但在事故發生前的運行周期內，東京電力公司還是數次進行了地震和海嘯的再評價。如2002年日本土木工程師學會制訂和頒布了新的海嘯評價方法后，東京電力公司進行了海嘯再評估，但新的評價方法仍然使用基于歷史數據的模型。東京電力公司評價出的海嘯高度高于原設計值，為此在福島第一核電廠采取了一些補救措施。

2006年，日本核安全監管當局發布了新的導則，要求除了考慮內陸地震外，還要考慮板間地震（日本海溝就是由于太平洋板塊插入歐亞板塊和菲律賓板塊下部所造成的）。東京電力公司再次進行了復查，但復查中考慮日本海溝可能發生的地震震級是8級，日本的地震學家也普遍不相信日本海溝會發生9級地震。對于福島第一核電廠，評價表明日本海溝8級地震對核電廠的影響是小于內陸地震的影響的，但海嘯影響的評價直到事故發生時仍未完成。

2009年，東京電力公司使用最新測深數據和潮汐數據再評估的最大海嘯高度是6.1米。根據這一新估計值，東京電力公司對福島第一核電廠進行了改造，特別是抬高了余熱排出泵的電機高度。不幸的是，事實證明這個措施仍然是不夠的。在2007年到2009年期間，東京電力公司還使用日本地震調查研究推進本部推薦的模型進行了評價。使用日本地震調查研究推進本部的模型進行評價沒有僅僅依靠歷史海嘯數據，而且考慮了日本海溝地震引發海嘯的可能性。在評價方案中考慮日本海溝發生的地震是8.3級，評價結果表明在福島第一核電廠廠址海嘯爬高達到約15米（這個結果與2011年3月11日的實際海嘯爬高很接近，但2011年3月11日日本海溝的實際地震是9級）。根據這一新的評價結果，東京電力公司、日本核安全監管機構等都認為需要開展進一步的研究，東京電力公司委托日本土木工程師學會審查模型的適當性，到事故發生時，這些審查仍然在進行中。

4、從災難中汲取教訓

2011年3月11日14時46分（日本時間），日本東海岸外的日本海溝發生9.0級大地震，震源距離福島第一核電廠約130公里。地震發生時，福島第一核電廠的1、2和3號機組處于功率運行狀態，4、5和6號機組處于停堆換料和大修維護階段。當核電廠的地震傳感器探測到地震后，自動對正在功率運行的1、2和3號機組實施了停堆保護。

雖然核電機組的反應堆被停閉，但存在于核燃料中裂變產物的衰變熱仍然需要被排出，這也包括存放于乏燃料水池中的已輻照燃料。冷卻系統通常需要交流電源提供動力和直流電源提供控制和監測，但地震導致外電網全部被破壞，外部電源的供應喪失，廠內應急柴油發電機自動啟動，蓄電池的供電也沒有問題。或者核電廠的安全系統自動動作，或者操縱人員按規程采取了行動，似乎核電廠的一切都處于控制之中。

大約40分鐘后，第一波海嘯到達廠址，但海嘯爬升高度只有4～5米，處在防浪堤的防護高度之下。在第一波海嘯到達大約10分鐘后，第二波海嘯到達廠址，海嘯爬升高度達到約15米，海水涌入廠區，導致除6號機組一臺位于較高位置的附加氣冷柴油發電機外，其他所有的應急柴油發電機失效，海水也導致1、2和4號機組的直流電源失效。這使核電廠運行人員面臨困難的局面，因為雖然嚴重事故管理指南中提供了對全廠斷電工況進行處理的指導，但必須保證直流電源的存在，以提供必要的監測數據和控制電源。操縱員和應急響應人員必須重新審查可用的方案并確定恢復電源的可能方法。

直到3月17日至20日，外部電源陸續才連接到現場。1號和2號機組在全廠斷電約9天后恢復了外部電源供應。3號和4號機組在全廠斷電約14天后恢復了外部電源供應。6號機組又恢復了1臺水冷柴油發電機，向5號和6號機組供電，隨后5號和6號機組實現了冷停堆。1至3號機組則按照東京電力公司制定的路線圖，在維持反應堆和乏燃料水池的持續冷卻、監測和減少放射性物質釋放、控制氫氣聚集及預防堆芯重返臨界方面開展后續工作。

在事故發展過程中，包括美國核管理委員會在內曾經很擔心乏燃料水池，特別是4號機組乏燃料水池內存貯的大量乏燃料的安全，甚至推測乏燃料與水反應可能產生氫氣，所以使用直升機、高壓水槍、消防車和混凝土泵車等對3號和4號機組的乏燃料水池進行了補水。但后來對乏燃料水池的檢查表明，乏燃料沒有出現明顯的損傷，美國核管理委員會后期承認，在福島第一核電廠事故期間對乏燃料水池的風險估計過高。

事故過程中，1、3和4號機組的反應堆廠房先后發生了爆炸，爆炸極大地影響了相關的事故處理工作。1號和3號機組的爆炸是由于熔融堆芯與水發生反應產生了大量氫氣，但4號機組反應堆壓力容器內并無燃料，事后推測是3號機組產生的氫氣通過通風管道泄漏到了4號機組反應堆廠房。

由于事故過程中安全殼密封性能的損壞，或者是對安全殼實施了卸壓通風（安全殼卸壓通風是嚴重事故管理指南中提供的措施，但卸壓時機很重要。在堆芯已經熔毀后實施卸壓，大量的放射性物質則會進入環境），大量的放射性物質，包括放射性廢水進入環境，造成了嚴重的環境后果。福島第一核電廠1、2、3號機組采用了MARK-I型安全殼，美國電廠安全評價計劃和外部事件下的電廠安全評價計劃的結果顯示，其安全殼下部的環形抑壓池是薄弱環節。福島第一核電廠事故向環境大量放射性廢水的排放，很可能是抑壓池的損壞所致。

后期評估表明，在福島第一核電廠事故中，1號機組反應堆堆芯的損壞大約發生在海嘯后第4～5小時，在海嘯后約6～8小時熔化的堆芯熔穿了反應堆壓力容器底部，在海嘯后約12小時觀察到放射性物質釋放，在海嘯后約23小時對安全殼卸壓通風時導致了大規模放射性物質釋放。2號機組在海嘯后約76小時發生了堆芯熔化，在海嘯后約89小時由于安全殼壓力邊界的失效導致放射性物質釋放。3號機組大約在海嘯后43小時堆芯開始熔化，由于抑壓池的爆破盤破裂，海嘯后47小時開始大規模放射性物質釋放。